Cenueshmëria në LG Smart TV mundëson marrje lokale nën kontroll si root
Një zinxhir cenueshmërish në LG Smart TV në webOS mund t’i lejojë një sulmuesi në të njëjtin local network të fitojë root access në disa televizorë pa PIN dhe pa asnjë veprim nga pronari, sipas një njoftimi të publikuar nga SSD Secure Disclosure më 12 tetor.
LG ka nxjerrë një rregullim, thuhet në njoftim. Zinxhiri i raportuar u testua në dy modele, 32LQ636BPSA dhe 27TQ600SW, të dyja me webOS 7.5.7-25 në firmware 04.54.40. SSD Secure Disclosure thotë se nuk dihet nëse preken modele të tjera ose versione të tjera firmware. Pronarët e TV-ve të prekura duhet të kontrollojnë për një përditësim firmware. Njoftimi nuk rendit një zgjidhje të përkohshme për pronarët që ende nuk mund të përditësojnë.
Çështja ka rëndësi sepse sulmi nuk nis me një faqe interneti keqdashëse, një mesazh phishing ose akses fizik te televizori. Ai nis nga local network, që do të thotë se sulmuesi duhet të jetë tashmë i lidhur me të njëjtin rrjet shtëpie, zyre ose vizitorësh si TV-ja. Në terma praktikë, kjo e bën ndarjen e rrjetit dhe përditësimet e pajisjeve të rëndësishme për bizneset që vendosin ekrane smart, TV ose pajisje sinjalistike në të njëjtat rrjete me workstation, telefona ose sisteme të tjera të brendshme.
Hapi i parë në zinxhir arrin një shërbim të ekspozuar nga televizori në port 3001. Një port është një hyrje rrjeti e numëruar që përdoret nga software për të marrë lidhje. Në këtë rast, shërbimi përdoret nga aplikacioni LG ThinQ për pairing, procesi që lidh një aplikacion me TV-në. SSD Secure Disclosure thotë se sulmuesi mund të riluajë një manifest nga sync-demo, një aplikacion i integruar që është tashmë i pranishëm në pajisje. Një manifest është një file që përshkruan çfarë është një aplikacion dhe çfarë permissions kërkon. manifest i riluajtur është i nënshkruar me një test certificate që firmware e beson.
Ai manifest përfshin një permission që bën që shërbimi i pairing të anashkalojë kërkesën për PIN. Si rezultat, sulmuesi mund të marrë një çelës të privilegjuar pa e shtypur pronari një PIN ose pa miratuar asgjë në TV. Në këtë kontekst, një çelës i privilegjuar është një credential që i lejon sulmuesit të aksesojë funksione që duhet të jenë të kufizuara.
Zinxhiri më pas përdor atë çelës për të nisur një aplikacion tjetër të integruar, cmp-client. SSD Secure Disclosure thotë se sulmuesi mund ta drejtojë cmp-client te një faqe web e kontrolluar nga sulmuesi. Aplikacioni nuk verifikon se ku po dërgohet, dhe faqja që ngarkon ruan aksesin te PalmServiceBridge, një interface i brendshëm që mund të komunikojë me system services në TV.
Përmes PalmServiceBridge, sulmuesi mund të thërrasë pmlogd, shërbimin e system logging. Një logging service është software që regjistron mesazhe dhe ngjarje të sistemit. SSD Secure Disclosure thotë se pmlogd pranon shell commands përmes një fushe input që nuk kontrollohet siç duhet. Një shell command është një udhëzim i dërguar te operating system. Për shkak se pmlogd ekzekutohet si root, edhe komandat e injektuara ekzekutohen si root. Root është niveli më i lartë i kontrollit në një sistem Unix-like, dhe root access do të thotë se sulmuesi mund të japë komanda me privilegje të plota sistemi.
Nuk janë caktuar identifikues CVE për tri cenueshmëritë e përshkruara në zinxhir. SSD Secure Disclosure thotë gjithashtu se nuk është raportuar shfrytëzim in the wild. Ky dallim është i rëndësishëm: njoftimi përshkruan një rrugë funksionale sulmi të demonstruar nga një researcher, por nuk thotë se sulmuesit po e përdorin aktualisht kundër pronarëve.
Zinxhiri u demonstrua nga një researcher anonim që fitoi vendin e tretë në kategorinë LG webOS në TyphoonPWN 2026, të mbajtur në Seul në maj. Njoftimi gjithashtu e vendos gjetjen në një model më të gjerë të local network attack surface në smart TVs. Në vitin 2024, Bitdefender zbuloi një grup tjetër cenueshmërish webOS që lejonin akses rrjeti pa autentikim, preknin komponentë të ndryshëm dhe u patch-uan në mars 2024. Një zinxhir i veçantë i demonstruar në TyphoonPWN 2025 përdori path traversal në një port tjetër.
Për pronarët e site-eve dhe ekipet IT, mësimi nuk është se një televizor është i njëjtë me një web server. Është se pajisjet smart shpesh ekspozojnë shërbime në rrjete të brendshme, dhe ato shërbime mund të bëhen pika hyrjeje nëse pajisjet lihen pa patch ose vendosen në rrjete me sisteme më të ndjeshme. Zyrat, dyqanet, shkollat dhe ambientet e mikpritjes shpesh përdorin smart TVs si ekrane sallash takimi ose ekrane digjitale, dhe ato pajisje mund të qëndrojnë në heshtje në të njëjtin rrjet për vite me radhë nëse dikush nuk është përgjegjës për përditësimet.
Pronarët duhet të fillojnë duke kontrolluar cilësimet e përditësimit të TV-së dhe duke instaluar çdo përditësim firmware të disponueshëm për modelet e prekura. Nëse një biznes nuk mund të përditësojë menjëherë, njoftimi nuk ofron një zgjidhje software të përkohshme, prandaj hapi më i sigurt operacional është të reduktohet ekspozimi duke e mbajtur TV-në jashtë rrjeteve të ndjeshme kur është e mundur dhe duke kufizuar se kush mund t’i bashkohet të njëjtit local network. Guest Wi-Fi, display networks dhe staff networks nuk duhet të trajtohen si të këmbyeshme thjesht sepse janë në të njëjtën ndërtesë.
Për organizatat që po rishikojnë se ku ndodhen smart displays dhe pajisje të tjera të lidhura në mjedisin e tyre, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë, gjë që është relevante kur ndahen pajisjet e përditshme nga sistemet që mbartin rrezik biznesi.
Derisa të ketë më shumë informacion për modelet e prekura, veprimi më i qartë është të përditësohen TV-të e prekura dhe të shmanget dhënia e aksesit përdoruesve të pabesuar në të njëjtin local network. Njoftimi nuk thotë se çdo LG webOS TV është e prekur dhe nuk jep prova për sulme aktive, por tregon se si një shërbim lokal i synuar për app pairing mund të bëhet rrugë drejt kontrollit të plotë të pajisjes kur disa të meta lidhen së bashku në zinxhir.